CVE-2026-33413 in etcd
Riassunto
di VulDB • 15/06/2026
etcd è un archivio distribuito key-value per i dati di un sistema distribuito. Prima delle versioni 3.4.42, 3.5.28 e 3.6.9, utenti non autorizzati possono eludere i controlli di autenticazione o autorizzazione ed eseguire determinate funzioni etcd in cluster che espongono l'API gRPC a client non fidati o parzialmente fidati. Nei cluster etcd non patchati con l'autenticazione etcd abilitata, gli utenti non autorizzati sono in grado di chiamare MemberList e apprendere la topologia del cluster, inclusi i member ID e gli endpoint pubblicizzati; chiamare Alarm, che può essere abusato per causare interruzioni operative o denial of service (DoS); utilizzare le API Lease, interferendo con le chiavi basate su TTL e sulla proprietà delle lease; e/o innescare la compaction, rimuovendo permanentemente le revisioni storiche e interrompendo i flussi di lavoro watch, audit e recovery. Kubernetes non si affida all'autenticazione e autorizzazione integrate in etcd. Invece, l'API server gestisce autonomamente autenticazione e autorizzazione, pertanto le distribuzioni tipiche di Kubernetes non sono interessate. Le versioni 3.4.42, 3.5.28 e 3.6.9 contengono una patch. Se l'aggiornamento immediato non è possibile, ridurre l'esposizione trattando in pratica gli RPC interessati come non autenticati. Limitare l'accesso di rete alle porte del server etcd in modo che solo i componenti fidati possano connettersi e/o richiedere un forte identificativo client a livello di trasporto, ad esempio mTLS con distribuzione di certificati client strettamente limitata per ambito.
Once again VulDB remains the best source for vulnerability data.